Il traffico DNS è la comunicazione di rete utilizzata per risolvere i nomi di dominio in indirizzi IP e altri record. Poiché quasi ogni applicazione dipende dal DNS, questo traffico viene di solito considerato una normale attività di sfondo. Questo lo rende prezioso per gli aggressori: comandi malevoli, dati di configurazione o pattern di beaconing possono essere nascosti all'interno di query e risposte DNS, confondendosi con il traffico di routine dei resolver.
Nelle intrusioni reali, il traffico DNS può veicolare dati di comando e controllo tramite sottodomini codificati, ricerche frequenti o tipi di record insoliti. I difensori monitorano pattern come query ad alto volume, domini che sembrano casuali e host che effettuano richieste DNS non in linea con il loro comportamento software. Correlare i log DNS con l'attività degli endpoint aiuta a individuare malware che usa il DNS per furtività, persistenza o controllo remoto.